Buscador de resoluciones, dictámenes e informes

La Fundación podría enviar un correo electrónico informante sobre la formación que impartirá este verano a sus exalumnos sobre la base jurídica del interés legítimo, siempre que la dicha información se limite en el programa de formación examinado y se dirija exclusivamente a los exalumnos de ciclos de formación profesional de hasta 35 años, a quienes se los tendría que facilitar la opción de oponerse a recibir comunicaciones de este tipo.

La persona denunciando se quejaba por el hecho que, en el marco de la tramitación de una solicitud de acceso a información pública, la GAIP habría revelado a las terceras personas afectadas por el acceso, su identidad sin que estas lo hubieran solicitado. Aun así, en la fase de información previa iniciada por esta Autoridad, la entidad denunciada ha expuesto que, una de las personas afectadas por el acceso pidió saber quién solicitaba la información controvertida. En este sentido, de acuerdo con el artículo 62 RLTC la GAIP consideró, previa consulta a la persona solicitante, que la remisión de la solicitud con su identidad podía ser esencial para la defensa de derechos e intereses titularidad de terceras personas afectadas. Así las cosas, hay que señalar que, consultado por la GAIP, la persona aquí denunciando consintió la revelación de su identidad. Y, por lo tanto, de acuerdo con el expuesto el tratamiento denunciado restaba habilitado por el artículo 6.1 apartados a) y c), en conexión con la RLT y la LTC, motivo por el cual, se archivan las presentes actuaciones.

Se estima el derecho de acceso que la persona reclamante formuló en el Ayuntamiento de Sant Quirze del Vallès en relación con el fin del tratamiento de los datos proporcionados en una escuela municipal. El Ayuntamiento alegaba que la petición no se había presentado por la vía adecuada y que hacía referencia a datos de un colectivo.

Un centro privado comunicó el resultado de una maceta de antígenos al Departamento de Salud y este, facilitó la dicha información en el centro educativo donde la persona denunciando prestaba sus servicios. Al respeto, el artículo 23 de la Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por la Covid-19 obliga a los establecimientos que realizan pruebas de diagnóstico Covid-19 a remitir, diariamente, a la autoridad sanitaria los resultados de las pruebas que realizan y, a su vez, el artículo 8.4 del Decreto Ley 41/2020, de medidas extraordinarias en el ámbito de la educación para hacer frente a las consecuencias de la Covid-19, determina que el Departamento de Salud tiene que comunicar a los directores o directoras de los centros educativos, los datos de salud correspondientes a los resultados de las pruebas diagnósticas. Así las cosas, procede el archivo de los hechos imputados dado que las referidas comunicaciones se llevaron a cabo amparadas por el artículo 6.1 del RGPD, en cumplimiento de una obligación legal (en el caso del laboratorio privado), y en el ejercicio de poderes públicos (en el caso del Departamento de Salud). Así mismo, procede señalar que, a pesar de se comunicaron datos de salud, concurrían las excepciones previstas en los apartados g) y y) del artículo 9.2 del RGPD, que permiten levantar la prohibición del artículo 9.1 RGPD.

Una madre denunció que la escuela había pedido que el primer día del curso escolar 2021-2022 aportaran el certificado de vacunación de covid-19 de su hijo menor de edad (de 12 años o más); que el dedo certificado también se pedía al personal de la escuela, y que la escuela tenía acceso a la aplicación informática Traçacovid. La denuncia se archiva porque, si bien se cierto que inicialmente la escuela se lo pidió, antes de iniciar el curso escolar comunicó a las madres y padres de alumnos que no lo aportaran (en base a una modificación de última hora del Plan de actuación para el curso 2021‐2022 para centros educativos en el marco de la pandemia); por otro lado, también se archiva porque no hay constancia que la escuela hubiera recogido ningún certificado de vacunación, y que la escuela negó tanto que requiriera el certificado a su personal, como haber accedido a la Traçacovid, y tampoco constan indicios. Además de los motivos de archivo, se concluye que el tratamiento de datos de salud por parte de los centros educativos por motivo de la gestión de los casos positivos de covid-19, estaría amparada por los 6.1.e) y 9.2.g) y y) del RGPD.

Se imputa vulneración del principio de licitud por carencia de base jurídica del artículo 6.1 RGPD. El Instituto envió un comunicado con documento adjunto, a todos los progenitores, informando sobre las asignaturas optativas que cursarán los alumnos, identificados con el número de DNI, y con el fin de que compren el material escolar. El número de DNI es dato personal, a pesar de ser tratada aisladamente.

La instalación de un sistema de videovigilancia en el interior de las aulas de las guarderías municipales podría resultar proporcionada ante indicios razonables de la posible comisión de un hecho ilícito grave por parte de una persona trabajadora hacia alguno de los niños, de manera excepcional y limitada en el tiempo, y siempre que se informe en los términos del artículo 89 del LOPDGDD. El responsable pero no tendría suficiente legitimación para instalar este sistema para que los progenitores y/o tutores legales puedan visualizar en directo imágenes sobre las actividades que realizan sus hijos.

La comunicación por parte de la Fundación a las familias y al alumnado mayor de 14 años, de información sobre actividades de entidades externas puede tener suficiente base jurídica en el interés legítimo (arte. 6.1.f) RGPD), siempre que se refiera a actividades o entidades vinculadas o relacionadas con el carácter propio de las escuelas de la Fundación, y siempre que la Fundación aplique las garantías específicas que se exponen en el Cimiento Jurídico V de este dictamen.

Vulneración del principio de licitud dado que el tratamiento de datos biométricos de las y los estudiantes, no está incluido en ninguno de las excepciones previstas por el artículo 9.2 RGPD, para el tratamiento de categorías especiales de datos.

Un inspector de Educación incorporó información innecesaria relativa a la vida laboral de la persona denunciando en el informe que emitió para dar respuesta a una petición del Síndico de Agravios, actuación con la cual vulneró el principio de minimización, dado que dio más información de la necesaria por la finalidad pretensa.